Checklist sécurité informatique : 10 points essentiels pour votre PME
La sécurité informatique peut sembler intimidante pour les dirigeants de PME. Entre le jargon technique, la multitude de solutions disponibles et les budgets limités, il est difficile de savoir par où commencer. Cette checklist vous permet de faire le point rapidement sur les mesures essentielles et d'identifier les priorités pour votre entreprise.
Cette checklist est conçue pour les PME de 5 à 100 employés. Elle couvre les mesures fondamentales reconnues par le Centre pour la Cybersécurité en Belgique (CCB) et le cadre CIS Controls.
✅ Point 1 — Mots de passe forts et gestionnaire de mots de passe
Chaque compte professionnel doit avoir un mot de passe unique d'au moins 12 caractères (lettres, chiffres, symboles). La réutilisation de mots de passe est la première cause de compromission de comptes. Un gestionnaire de mots de passe d'entreprise (Bitwarden, 1Password Teams, LastPass Business) centralise et sécurise tous les accès, et permet de générer des mots de passe forts automatiquement.
✅ Point 2 — Authentification multi-facteurs (MFA) sur tous les comptes critiques
Le MFA (ou 2FA) exige une deuxième vérification en plus du mot de passe : un code envoyé par SMS, une application d'authentification (Microsoft Authenticator, Google Authenticator) ou une clé physique (YubiKey). Activez le MFA en priorité sur : Microsoft 365 / Google Workspace, VPN, accès serveur/bureau à distance, et tout portail d'administration.
✅ Point 3 — Mises à jour automatiques des systèmes et logiciels
60 % des cyberattaques exploitent des vulnérabilités pour lesquelles des correctifs sont disponibles depuis plus de 30 jours. Activez Windows Update en automatique, maintenez vos navigateurs à jour, et vérifiez que vos logiciels métier sont à jour. Pour les PME de plus de 10 postes, un outil de gestion des mises à jour centralisé (WSUS, Ninite Pro) simplifie cette tâche.
✅ Point 4 — Solution antivirus / EDR de qualité professionnelle
Les antivirus gratuits ou grand public ne suffisent plus pour un usage professionnel. Investissez dans une solution EDR (Endpoint Detection & Response) managée qui détecte les comportements suspects en temps réel. Des solutions accessibles aux PME incluent Sophos, ESET, Bitdefender GravityZone ou Windows Defender Business (inclus dans Microsoft 365 Business Premium).
✅ Point 5 — Sauvegarde régulière suivant la règle 3-2-1
Règle 3-2-1 : 3 copies de vos données, sur 2 types de supports différents (ex: disque NAS + cloud), dont 1 copie hors site. Les sauvegardes doivent être automatiques, chiffrées, et testées régulièrement (une restauration complète au moins deux fois par an). Sans sauvegarde valide, une attaque ransomware peut être fatale pour l'entreprise.
✅ Point 6 — Firewall correctement configuré
Un firewall d'entreprise (Fortinet, Sophos, pfSense) est indispensable pour contrôler ce qui entre et sort de votre réseau. Il doit être correctement configuré par un professionnel : pas de ports inutiles ouverts, règles de filtrage sortant, inspection SSL. Vérifiez aussi que votre box internet n'est pas la seule protection de votre réseau.
✅ Point 7 — Politique de contrôle des accès (principe du moindre privilège)
Chaque employé ne doit avoir accès qu'aux données et systèmes nécessaires à son travail. Les comptes administrateurs ne doivent pas être utilisés pour les tâches quotidiennes. Révoquez immédiatement les accès lors d'un départ d'employé. Auditez régulièrement qui a accès à quoi.
✅ Point 8 — Sécurisation du réseau WiFi d'entreprise
Votre réseau WiFi professionnel doit être séparé du réseau visiteurs, utiliser WPA2-Enterprise ou WPA3, et avoir un mot de passe fort qui change régulièrement. Ne laissez jamais vos employés utiliser un WiFi public non sécurisé sans VPN. Mettez en place un VPN d'entreprise pour les travailleurs à distance.
✅ Point 9 — Formation et sensibilisation des employés
Les employés sont à la fois votre première ligne de défense et votre plus grande vulnérabilité. Organisez des formations courtes et régulières sur la reconnaissance des emails de phishing, les bonnes pratiques de mots de passe et les réflexes à avoir en cas d'incident. Des simulations de phishing (envoi de faux emails de test) sont très efficaces pour mesurer le niveau de vigilance.
✅ Point 10 — Plan de réponse aux incidents documenté
Que faites-vous si votre serveur est piraté à 3h du matin ? Qui appelle-t-on ? Quelles machines déconnecte-t-on en premier ? Un plan de réponse aux incidents n'a pas besoin d'être un document de 50 pages. Une fiche d'une page avec les contacts d'urgence, les étapes clés et l'emplacement des sauvegardes peut faire toute la différence.
Évaluez votre score
- ✓8 à 10 points cochés : Vous êtes bien protégé. Maintenez ces bonnes pratiques.
- ✓5 à 7 points cochés : Des lacunes importantes existent. Priorisez les points manquants.
- ✓Moins de 5 points cochés : Votre entreprise est exposée à des risques significatifs. Contactez un expert.
💡 Conseil SP Computing — SP Computing propose un audit de sécurité informatique gratuit pour les PME belges. En 2 heures, nos experts identifient vos failles prioritaires et vous remettent un plan d'action concret.